Mover SSH a otro puerto detiene los escáneres automáticos que solo prueban el 22. Tu registro de autenticación se calla y la máquina parece más segura. La máquina no lo es: cualquiera que barra todo el rango de puertos lo encuentra en segundos, y eso es justo lo que hace un intento dirigido.

Lo que de verdad protege la puerta

  • Claves en lugar de contraseñas: consulta Claves SSH en lugar de contraseñas.
  • PasswordAuthentication no, para que una contraseña adivinada no sea una entrada en absoluto.
  • Un cortafuegos que solo permite las direcciones que lo necesitan.
  • Fail2ban para lo demás: consulta Qué detiene Fail2ban.

Otro puerto merece la pena por unos registros más tranquilos. Por sí solo no vale nada.

Cámbialo sin dejarte fuera

  1. Abre PRIMERO el puerto nuevo en el cortafuegos — sudo ufw allow 2222/tcp
  2. Añade el puerto y conserva el 22 por ahora — dos líneas Port en /etc/ssh/sshd_config.
  3. Comprueba que la configuración se lee — sudo sshd -t
  4. Recarga y abre una sesión NUEVA en el puerto nuevo — deja la antigua conectada hasta que la nueva funcione.
  5. Solo entonces quita el puerto 22 — y ciérralo en el cortafuegos.
# /etc/ssh/sshd_config
Port 22
Port 2222

sudo sshd -t && sudo systemctl reload ssh
En RHEL, Alma y Rocky, SELinux impide que sshd se enlace a un puerto inesperado. Permítelo antes: sudo semanage port -a -t ssh_port_t -p tcp 2222. Sin eso la recarga sale bien y el servicio sigue sin escuchar.

Avisa a tu cliente

# ~/.ssh/config
Host web1
    HostName 203.0.113.10
    Port 2222
    User sara